Pular para o conteúdo principal

Segurança da plataforma

Os controles abaixo estão em vigor no ambiente de produção da Zabit. O detalhamento técnico de cada um está no pacote de segurança, entregue sob NDA (como pedir).

Infraestrutura​

  • A Zabit roda na Amazon Web Services (AWS), na região de São Paulo. Banco de dados, armazenamento de arquivos, cópias de segurança, cadastro de usuários e e-mail transacional ficam nessa região.
  • Os ambientes de desenvolvimento e de homologação são separados do ambiente de produção.

Criptografia​

  • Em trânsito: todo acesso público é por HTTPS, com TLS 1.2 ou 1.3; versões anteriores são recusadas e chamadas em HTTP são redirecionadas para HTTPS. O cookie de sessão só trafega por HTTPS. O armazenamento de dados e as cópias de segurança recusam qualquer acesso que não use TLS.
  • Em repouso: discos, armazenamento de objetos e cópias de segurança são cifrados com AES-256. O repositório principal de dados usa, para todo dado gravado a partir de 30/10/2026, uma chave própria da Zabit no AWS KMS, com rotação anual; o restante usa chaves gerenciadas pela AWS. Os segredos da aplicação ficam num cofre cifrado, fora do código.

Proteção de borda​

  • Um firewall de aplicação (WAF) gerenciado fica na frente das aplicações de produção e bloqueia padrões de ataque conhecidos, endereços IP de má reputação e excesso de tentativas de login vindas da mesma origem.
  • As ferramentas administrativas da Zabit só são acessíveis a partir de redes autorizadas.

Controle de acesso ao app​

  • Cada pessoa tem login individual. Contas são criadas por um administrador; não há cadastro aberto.
  • Segundo fator de autenticação por aplicativo autenticador (TOTP) disponível para todos os usuários.
  • Perfis e permissões por usuário definem o que cada pessoa pode ver e fazer.
  • A sessão expira: o token de acesso vale 60 minutos.

Isolamento entre clientes​

Os dados de cada cliente ficam num workspace próprio. Além do controle feito pela aplicação, o banco de dados aplica regras de segurança em nível de linha (row-level security) por workspace.

Acesso da equipe Zabit​

Só pessoas autorizadas da Zabit acessam dados de clientes, para suporte e operação. Esse acesso usa um perfil próprio, separado do perfil da aplicação, e as ações feitas com ele ficam marcadas na trilha de auditoria.

Chaves de API​

  • A chave é exibida uma única vez, na criação. A Zabit guarda só um resumo criptográfico (hash) dela: nem a nossa equipe consegue recuperá-la.
  • Cada chave vale num único ambiente, tem escopo limitado às capacidades da API pública e pode ser revogada a qualquer momento pelo seu time.

Como criar, rotacionar e revogar: Autenticação e chaves.

Detecção e auditoria​

  • Detecção de ameaças gerenciada (Amazon GuardDuty) ativa no ambiente de produção.
  • Trilha de auditoria da aplicação: registra quem fez cada ação, o quê, quando, e o valor anterior e o novo. O registro é gravado na mesma operação da ação, e a trilha de cada workspace é separada das demais.
  • Cada arquivo recebido para processamento é registrado com o seu resumo criptográfico (SHA-256), tamanho e autor.

Desenvolvimento seguro​

  • As imagens de software passam por varredura de vulnerabilidades ao serem publicadas, e as do núcleo da plataforma são assinadas criptograficamente no build.
  • As mudanças de código dos componentes principais passam por varredura de segredos. No núcleo da plataforma, uma dependência com vulnerabilidade conhecida bloqueia a mudança.
  • Mudanças chegam à produção por promoção explícita, com aprovação humana.

Backup​

  • O banco de dados tem cópias automáticas mais de uma vez por dia útil, além de cópias diárias dos volumes. As cópias são cifradas e ficam na região de São Paulo.
  • Um monitor confere a idade das cópias várias vezes por dia útil e alerta a equipe quando uma cópia atrasa.
  • A restauração completa do banco de produção a partir das cópias foi ensaiada em ambiente isolado em 30/10/2026.